Escape dhe unescape i vargjeve

Si të bësh escape ose unescape një varg

1. Zgjidh objektivin te Formati: varg JSON, varg JavaScript, literal shabllon JavaScript, literal vargu SQL, fushë CSV, vlerë atributi HTML, shprehje e rregullt ose komponent URL.
2. Shkruaj ose ngjit tekstin në kutinë e hyrjes.
3. Kliko Escape për ta kthyer tekstin e thjeshtë në një literal të sigurt, ose Unescape për ta kthyer një literal në tekst të thjeshtë. Rezultati përditësohet ndërsa shkruan, në drejtimin që zgjodhe së fundmi.
4. Rregullo opsionet e shfaqura për formatin: Shto thonjëza rreth tekstit, Bëj escape karakteret jo-ASCII ose Hapësirat si + (të dhëna formulari).
5. Kliko Kopjo, ose Përdor daljen si hyrje për ta kthyer veprimin mbrapsht dhe për të kontrolluar ciklin e plotë.

Numri i karaktereve para dhe pas shfaqet nën butonat. Gjithçka ekzekutohet në shfletuesin tënd; asgjë nuk ngarkohet.

Çfarë bën çdo format

• Varg JSON: bën escape ", \ dhe karakteret e kontrollit (\n, \t, \u0000…), saktësisht si JSON.stringify. Me Bëj escape karakteret jo-ASCII, çdo karakter mbi U+007E bëhet \uXXXX (emoji bëhen një çift surrogatësh si 😀). Unescape e pranon tekstin me ose pa thonjëzat e dyfishta, dhe toleron ndarje të papërpunuara rreshtash.
• Varg JavaScript (‘…’): bën escape vijën e pjerrët të prapme, apostrofin, ndarjet e rreshtit dhe karakteret e kontrollit, plus U+2028 dhe U+2029, që prishin motorët më të vjetër. Unescape kupton \x41, A, \u{1F600}, escape-et oktale të vjetra si \101 dhe vazhdimet e rreshtit.
• Literal shabllon JavaScript (`…`): bën escape backtick-et, vijat e pjerrëta të prapme dhe ${, që asnjë shprehje të mos vlerësohet; ndarjet e rreshtit dhe tab-et mbeten siç janë, pasi shabllonet i lejojnë.
• Literal vargu SQL (‘…’): dyfishon apostrofët (O'Brien → 'O''Brien'), si në SQL standard. Unescape refuzon një apostrof që nuk është dyfishuar. Vijat e pjerrëta të prapme lihen siç janë: MySQL në mënyrën e parazgjedhur e trajton \ gjithashtu si karakter escape, ndaj kontrollo rregullat e bazës tënde.
• Fushë CSV (RFC 4180): e mbështjell fushën në thonjëza të dyfishta dhe dyfishon thonjëzat e brendshme kur përmban presje, pikëpresje, tab, thonjëz, ndarje rreshti ose hapësirë në fillim/fund. Shto thonjëza rreth tekstit i detyron thonjëzat.
• Vlerë atributi HTML: zëvendëson &, <, >, " dhe ' me entitete, gjë që është e sigurt si në atributet me apostrof ashtu edhe me thonjëza të dyfishta. Unescape dekodon referencat numerike dhe &, <, >, ", ' e  .
• Shprehje e rregullt (tekst literal): bën escape me vijë të pjerrët të prapme . * + ? ^ $ { } ( ) | [ ] \ /, plus ndarjet e rreshtit dhe tab-et, që modeli ta përputhë tekstin fjalë për fjalë. Rezultati është i vlefshëm me ose pa flamurin u.
• Komponent URL (percent-encoding): punon si encodeURIComponent, duke koduar gjithçka përveç shkronjave, shifrave dhe - _ . ! ~ * ' ( ) si bajte UTF-8. Hapësirat si + (të dhëna formulari) përdor konventën application/x-www-form-urlencoded.

Escape nuk është kufi sigurie për SQL

Kur zgjedh SQL, mjeti shfaq një kujtesë, dhe ia vlen ta përsërisim: zgjidhja e vërtetë kundër SQL injection është një query e parametrizuar (prepared statement), ku vlera dërgohet veçmas nga teksti SQL. Escape me dorë është i brishtë: varet nga baza e të dhënave, bashkësia e karaktereve e lidhjes dhe cilësime si trajtimi i vijës së pjerrët të prapme në MySQL. Përdore këtë dalje për të lexuar log-e, për të shkruar fixture ose për të debuguar një query, kurrë për të ndërtuar query nga hyrje e përdoruesit.

Për CSV, mjeti paralajmëron edhe kur një vlerë fillon me =, +, - ose @: një fletë llogaritjeje mund ta ekzekutojë si formulë (CSV injection). Thonjëzat nuk e parandalojnë këtë; zakonisht zbutet duke vendosur para vlerës një apostrof ose një hapësirë.